È sicuro collegare broker o exchange a un’app?

Collegare un broker o un exchange a un’app può essere sicuro se il collegamento è in sola lettura e non consegni né la password né una chiave in grado di fare trading o prelievi. Controlla tre cose: accedi dalle schermate del tuo intermediario (OAuth o un servizio come Plaid) e non da un modulo dell’app, le chiavi API dell’exchange hanno solo permessi di consultazione, e puoi revocare l’accesso in qualsiasi momento. Se un’app chiede più di quanto le serve per mostrarti il portafoglio, non collegarla.

Nessun collegamento è privo di rischi, quindi conviene sapere come funziona ogni tipo e cosa verificare.

I tre modi in cui un’app si collega ai tuoi conti

1. Condividere nome utente e password

I vecchi aggregatori chiedevano le tue credenziali e accedevano al conto al posto tuo, una pratica nota come «screen scraping». Funziona, ma l’app conserva credenziali che permettono di fare tutto ciò che puoi fare tu su quel conto. La FINRA statunitense spiega i rischi nell’avviso Know Before You Share.

In Europa la direttiva PSD2 regola l’accesso ai conti di pagamento da parte di prestatori autorizzati, che usano interfacce dedicate invece della tua password. Conti titoli ed exchange non rientrano sempre in questo quadro, per questo conviene verificare, app per app, come avviene il collegamento.

2. Collegamenti tramite token (OAuth e Plaid)

Con OAuth vieni mandato alla pagina di accesso del tuo broker. Accedi lì, approvi ciò che l’app può vedere e il broker consegna all’app un token limitato a quell’accesso. L’app non vede mai la tua password e di solito puoi revocare il token dalle impostazioni di sicurezza del conto.

Servizi come Plaid fanno da intermediari per molte app: scegli il tuo intermediario, accedi dalle schermate di Plaid o dell’intermediario e l’app riceve l’accesso ai tipi di dati richiesti. Plaid spiega il suo approccio in come tratta i tuoi dati e nella sua pagina sulla sicurezza.

3. Chiavi API (exchange crypto)

Gli exchange permettono di creare chiavi API con permessi precisi. Crei la chiave sull’exchange, scegli i permessi e la incolli nell’app.

Qui i permessi contano più di tutto:

• Coinbase prevede livelli di permesso. La sua documentazione sull’autorizzazione descrive View come accesso ad API che non spostano fondi fuori dal conto, mentre Trade e Transfer consentono ordini e invio di fondi.
• Kraken separa i permessi su fondi (consultare, depositare, prelevare), su ordini e operazioni (consultare, creare o modificare, annullare) e sui dati, come spiega la guida How to create an API key.

A un portfolio tracker serve solo leggere: saldi e storico delle operazioni. Non dovrebbe mai avere bisogno di permessi per fare trading, prelevare, trasferire o depositare.

Cosa dovrebbe significare «sola lettura»

«Sola lettura» vale qualcosa solo se viene fatta rispettare. Chiediti:

• L’app verifica i permessi della chiave e rifiuta quelle che possono fare trading o prelievi, o si limita a chiederti gentilmente una chiave di consultazione?
• Li ricontrolla in seguito? I permessi si possono cambiare dopo aver creato la chiave.
• Per un broker, quali tipi di dati vengono richiesti? Posizioni e operazioni bastano a un tracker. Non serve muovere denaro.

Lista di controllo prima di collegare un conto

1. Dove accedo? Sul sito del mio broker, sulle schermate di Plaid o sull’exchange stesso, non in un modulo dentro l’app.
2. Che permessi ha la chiave o il collegamento? Solo consultazione. Niente trading, prelievi, trasferimenti o depositi.
3. Come vengono conservate le credenziali? Cerca la cifratura a riposo e un’indicazione chiara di chi può accedervi.
4. Posso revocare l’accesso? Dall’app e dal broker o dall’exchange.
5. L’app richiede la verifica in due passaggi per azioni delicate come collegare un broker?
6. Cosa succede ai miei dati? Vengono venduti o usati per la pubblicità? Vengono cancellati quando scollego un conto o chiudo il mio account?
7. L’app dice cosa non può fare? Un chiaro «non possiamo fare trading né spostare i tuoi fondi» è un buon segno. Gli slogan vaghi sulla sicurezza non sostituiscono le informazioni concrete.
8. Posso limitare ulteriormente la chiave? Alcuni exchange permettono di limitarla a certi indirizzi IP o a un solo portafoglio.

Come creare una chiave exchange in sola lettura

Sonar non ne ha bisogno: gli exchange si collegano tramite Plaid. Se un’altra app ti chiede una chiave, questi sono passaggi generali; i menu cambiano nel tempo, segui le istruzioni aggiornate del tuo exchange.

1. Apri la sezione API nelle impostazioni del conto.
2. Crea una nuova chiave e dalle un nome riconoscibile, per esempio quello dell’app.
3. Seleziona solo i permessi di consultazione di saldi e storico.
4. Lascia deselezionati trading, prelievo, trasferimento e deposito.
5. Se possibile, limita la chiave a un solo portafoglio o a un elenco di IP.
6. Copia chiave e secret direttamente nell’app. Non salvarli in note o email.
7. Elimina la chiave sull’exchange se smetti di usare l’app.

Come Sonar collega i conti

Sonar è in sola lettura per progettazione. In pratica:

• I wallet si collegano solo tramite indirizzo pubblico. Sonar non chiede mai una chiave privata né una seed phrase. Vedi come monitorare un wallet crypto tramite indirizzo.
• Gli exchange come Coinbase o Kraken si collegano tramite Plaid, come i broker, quando Plaid li offre. Sonar non accetta chiavi API degli exchange, quindi non c’è nessuna chiave da creare, conservare o perdere.
• I broker si collegano tramite Plaid con i piani Starter, Standard e Premium, solo per i dati di investimento: posizioni, operazioni, dividendi e commissioni. Accedi dalle schermate di Plaid o del tuo broker, quindi la password non arriva mai a Sonar. Collegare un broker o un exchange richiede la verifica in due passaggi sul tuo account Sonar, e rimuovere il collegamento revoca l’accesso di Sonar presso Plaid. Gli intermediari disponibili dipendono dalla copertura di Plaid nel tuo paese. Vedi il tracker per conti broker.
• I tuoi dati non vengono venduti né usati per la pubblicità. Scollegare un conto ne cancella i dati e revoca l’accesso.

La pagina sulla sicurezza elenca cosa Sonar conserva, cosa non memorizza mai e come segnalare una vulnerabilità. I limiti di conti collegati per piano sono nella pagina dei prezzi.

I rischi che restano anche in sola lettura

La sola lettura elimina il rischio più grande, cioè che qualcuno faccia trading o prelievi con i tuoi accessi, ma non tutti:

• Privacy. L’app vede posizioni e storico. Scegli servizi che spieghino cosa conservano e che non vendano i dati.
• Una violazione presso l’app potrebbe esporre ciò che conserva. Credenziali cifrate e pochi dati memorizzati limitano i danni.
• Phishing. Versioni false di app o exchange possono indurti ad accedere. Controlla la barra degli indirizzi prima di inserire le credenziali. La CONSOB pubblica avvisi e materiali nella sezione di educazione finanziaria.
• Chiavi dimenticate con troppi permessi. Rivedi ed elimina ogni tanto le chiavi API che non usi più.

Domande frequenti

Un’app di portafoglio può rubarmi i soldi?

Non tramite un collegamento davvero in sola lettura. Una chiave API di consultazione, un indirizzo pubblico di wallet o un collegamento al broker limitato ai dati di investimento non possono dare ordini né prelevare. Il rischio viene dalle app che chiedono permessi di trading o prelievo, password o seed phrase.

Plaid è sicuro?

Plaid è usato da molte app finanziarie, e con Plaid accedi dalle sue schermate o da quelle del tuo intermediario invece di dare la password all’app. Come per ogni servizio, guarda quali dati chiede l’app e leggi la sua informativa sulla privacy. Plaid descrive il suo approccio nella pagina sulla sicurezza.

Devo dare a un’app il secret della mia chiave API?

Solo per una chiave di consultazione, e solo a un’app che spieghi come la conserva. Non condividere mai con un tracker una chiave con permessi di trading o prelievo.

Cosa faccio se penso che una chiave sia stata esposta?

Eliminala subito sull’exchange e creane una nuova di consultazione se vuoi mantenere il collegamento. Controlla le attività recenti del conto e le impostazioni di sicurezza.

Sono obbligato a collegare i conti?

No. Puoi importare un file CSV o inserire le posizioni a mano. Vedi come esportare le transazioni in CSV.